IBM Cloud Identity and Access Management

• Zentral verwaltetes Zugriffsmanagement für IBM Cloud.
• Zugriffsmöglichkeit für Benutzer oder Services auf zahlreiche unterschiedliche Ressourcen mithilfe der gleichen Gruppe von Berechtigungsnachweisen (z. B. Benutzername und Kennwort oder IAM-API-Schlüssel).
• IAM-API-Schlüsseln kann der Zugriff auf die Kontomanagementfunktionen (z. B. zum Erstellen neuer Datenbanken) erteilt werden.

Traditionelle IBM Cloudant-Zugriffssteuerungsmechanismen

• Nur für IBM Cloudant.
• Für den Zugriff auf die verschiedenen Serviceinstanzen sind eigene Berechtigungsnachweisgruppen erforderlich.
• Verwendung der HTTP-Basisauthentifizierung mit Berechtigungsnachweisen, die nicht an einen bestimmten Benutzer oder Service gebunden sind.
• IBM Cloudant-API-Schlüsseln können Berechtigungen nur auf Datenbankebene erteilt werden.

Hinweise zu API-Schlüsseln

Im vorliegenden Dokument bezieht sich die Verwendung des Begriffs 'API-Schlüssel' auf die IAM-API-Schlüssel. Für die Zugriffssteuerelemente der traditionellen Version von IBM Cloudant gibt es ebenfalls ein Konzept für API-Schlüssel. Alle Erläuterungen zu 'traditionellen IBM Cloudant-Berechtigungsnachweisen' oder 'Kombinationen aus Benutzername und Kennwort' beziehen sich auch auf IBM Cloudant-API-Schlüssel.

IBM Cloudant-API-Schlüssel und Nur IAM verwenden

Die Verwendung von IBM Cloudant-API-Schlüsseln zusammen mit IAM ist zwar möglich, wird jedoch nicht empfohlen. Diese Empfehlung wird deshalb ausgesprochen, weil IBM Cloudant-API-Schlüssel und die entsprechenden Berechtigungen nicht in der IAM-Richtlinienschnittstelle angezeigt werden können und auch nicht über diese Schnittstelle verwaltet werden können, wodurch ein ganzheitliches Zugriffsmanagement nicht möglich ist.

Die Auswahl des Modus Nur IAM verwenden oder Traditionelle Berechtigungsnachweise und IAM-Berechtigungsnachweise verwenden wirkt sich auf folgende Faktoren aus:

1. Auf die Verfügbarkeit traditioneller IBM Cloudant-Berechtigungsnachweise auf Kontoebene, mit denen Aktionen für Datenbanken und weitere Aktionen auf Kontoebene verwaltet werden können.
2. Auf den Stil der Berechtigungsnachweise, die während der Generierung der Serviceberechtigungsnachweise bereitgestellt werden.

Insbesondere ist festzuhalten, dass IBM Cloudant-API-Schlüssel weiterhin zum Verwalten des Datenbankzugriffs eingesetzt werden können. Diese Berechtigungsnachweise müssen über die HTTP-API generiert und konfiguriert werden.

Bereitstellung über die Befehlszeile

Wenn Sie eine neue IBM Cloudant-Instanz über die Befehlszeile bereitstellen, dann müssen Sie eine Option für das Tool ibmcloud angeben. Hierzu wird der Parameter -p verwendet, mit dem die traditionellen Berechtigungsnachweise für ein Konto aktiviert oder inaktiviert werden können. Die Option wird im JSON-Format übergeben und trägt die Bezeichnung legacyCredentials.

Führen Sie den folgenden Befehl aus, um eine Instanz unter Verwendung des Modus Nur IAM verwenden (empfohlen) bereitzustellen:

ibmcloud resource service-instance-create  "Instance Name" \
    cloudantnosqldb Standard us-south \
    -p {"legacyCredentials": false}

Wenn Sie IAM-Rollen verwenden, bei denen es sich nicht um die Rolle Manager handelt, also z. B. die Rollen Reader, Writer, Monitor oder Checkpointer, müssen Sie Nur IAM verwenden verwenden, um zu vermeiden, dass Benutzer traditionelle Berechtigungsnachweise mit umfassenderen Zugriffsberechtigungen erhalten.

Führen Sie den folgenden Befehl aus, um eine Instanz unter Verwendung des Modus Traditionelle Berechtigungsnachweise und IAM-Berechtigungsnachweise verwenden bereitzustellen:

ibmcloud resource service-instance-create  "Instance Name" \
    cloudantnosqldb Standard us-south \
    -p {"legacyCredentials": true}

JSON-Beispiele für Serviceberechtigungsnachweise für beide Optionen

Die Entscheidung für den Zugriffssteuerungsmodus Nur IAM verwenden oder Traditionelle Berechtigungsnachweise und IAM verwenden wirkt sich darauf aus, wie Berechtigungsnachweise an Ihre Anwendung übergeben werden, wenn Sie Serviceberechtigungsnachweise binden und generieren. Werden die Berechtigungsnachweise in der primären IBM Cloud IAM-Schnittstelle generiert, dann werden die API-Schlüssel während der Generierung in dieser Schnittstelle angezeigt.

Sie können Berechtigungsnachweise auch über den Abschnitt 'Serviceberechtigungsnachweise' einer Serviceinstanz generieren. Durch die Verwendung dieser Methode bei der Generierung von Serviceberechtigungsnachweisen wird ein JSON-BLOB für Serviceberechtigungsnachweise erstellt, das mit allen Details, die für den Zugriff auf die Serviceinstanz erforderlich sind, in Anwendungen eingefügt werden kann.

Als nächstes wird gezeigt, wie das JSON-Element für die Serviceberechtigungsnachweise dargestellt wird und welche Bedeutung die einzelnen Werte haben.

Wenn Sie Nur IAM verwenden auswählen, dann enthalten die generierten Serviceberechtigungsnachweise nur IAM-Werte und werden wie folgt dargestellt.

{
  "apikey": "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz",
  "iam_apikey_description": "Auto generated apikey during resource-key [...]",
  "iam_apikey_name": "auto-generated-apikey-050d21b5-5f[...]",
  "iam_role_crn": "crn:v1:bluemix:public:iam::::serviceRole:Manager",
  "iam_serviceid_crn": "crn:v1:staging:public:iam-identity::[...]",
  "url": "https://76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "username": "76838001-b883-444d-90d0-46f89e942a15-bluemix"
}

Die einzelnen Werte im vorherigen JSON-Beispiel müssen unter Verwendung der folgenden Definitionen interpretiert werden:

apikey

IAM-API-Schlüssel.

iam_apikey_description

Beschreibung des IAM-API-Schlüssels.

iam_apikey_name

ID des IAM-API-Schlüssels.

iam_role_crn

Die IAM-Rolle, die dem IAM-API-Schlüssel zugeordnet wurde.

iam_serviceid_crn

Die CRN der Service-ID.

url

IBM Cloudant-Service-URL.

username

Der interne IBM Cloudant-Kontoname.

Wenn Sie Traditionelle Berechtigungsnachweise und IAM verwenden auswählen, enthalten die generierten Serviceberechtigungsnachweise sowohl IAM-Berechtigungsnachweise als auch traditionelle Berechtigungsnachweise, was der Darstellung der Werte im folgenden Beispiel entspricht.

{
  "apikey": "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz",
  "host": "76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "iam_apikey_description": "Auto generated apikey during resource-key [...]",
  "iam_apikey_name": "auto-generated-apikey-050d21b5-5f[...]",
  "iam_role_crn": "crn:v1:bluemix:public:iam::::serviceRole:Manager",
  "iam_serviceid_crn": "crn:v1:staging:public:iam-identity::[...]",
  "password": "8fb6a16b48903e87b769e7f4968521e85c2394ed8f0e69b2769e56dcb27d2e76",
  "port": 443,
  "url": "https://<username>:<password>@76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "username": "apikey-v2-58B528DF5397465BB6673E1B79482A8C"
}

Die einzelnen Werte im vorherigen JSON-Beispiel müssen unter Verwendung der folgenden Definitionen interpretiert werden:

apikey

IAM-API-Schlüssel.

host

IBM Cloudant-Service-Hostname.

iam_apikey_description

Beschreibung des IAM-API-Schlüssels.

iam_apikey_name

ID des IAM-API-Schlüssels.

iam_role_crn

Die IAM-Rolle, die dem IAM-API-Schlüssel zugeordnet wurde.

iam_serviceid_crn

Die CRN der Service-ID.

password

Das Kennwort des traditionellen Berechtigungsnachweises von IBM Cloudant.

port

IBM Cloudant-Service-Port.

url

IBM Cloudant-Service-URL, einschließlich der eingebetteten traditionellen Berechtigungsnachweise von IBM Cloudant.

username

Der Benutzername des traditionellen Berechtigungsnachweises von IBM Cloudant.

Beachten Sie, dass die enthaltenen Werte für username und password immer den IAM-Managerberechtigungsnachweisen entsprechen. Daher ist die Verwendung von Traditionelle Berechtigungsnachweise und IAM verwenden unsicher, wenn diese Option gemeinsam mit den IAM-Rollen Reader, Writer, Monitor oder Checkpointer verwendet wird.

Vor- und Nachteile der beiden Zugriffssteuerungsmechanismen

Insgesamt lässt sich festhalten, dass IBM Cloud IAM das empfohlene Authentifizierungsmodell darstellt. Allerdings birgt dieser Ansatz auch Nachteile, besonders dann, wenn bereits eine Anwendung vorhanden ist oder wenn Sie keine von IBM Cloudant unterstützte Clientbibliothek verwenden können.

Beispiele

IAM-API-Schlüssel für Quelle und Ziel und einen für IBM Cloudant-API-Zugriff generieren

In dieser Übung werden die ersten beiden API-Schlüssel erstellt, sodass die beiden Instanzen während des Replikationsprozesses miteinander kommunizieren können. Den dritten API-Schlüssel benötigt der Benutzer für den Zugriff auf die IBM Cloudant-API, zum Erstellen der Datenbank _replicator und anschließenden Hinzufügen des Replikationsdokuments.

Führen Sie die folgenden Schritte aus, um IAM-API-Schlüssel und den API-Zugriff für IBM Cloudant zu generieren. Sie müssen die Berechtigungsnachweise, die in den folgenden Schritten angefordert werden, aufschreiben, um mit dem Beispiel fortfahren zu können.

Stellen Sie sicher, dass Sie die angegebene Instanz auswählen, entweder die Quelle oder das Ziel.

1. Melden Sie sich bei cloud.ibm.com an.

2. Wählen Sie in der Ressourcenliste die Option Services und Ihre Quelleninstanz aus.

   1. Klicken Sie auf Serviceberechtigungsnachweise und dann auf Neuer Berechtigungsnachweis.

   2. Benennen Sie den neuen Berechtigungsnachweis replicator-source und wählen Sie die Rolle 'Manager' aus.

   3. Klicken Sie auf Hinzufügen und notieren Sie den API-Schlüssel (apikey), der unter 'Berechtigungsnachweise anzeigen' in der Spalte 'Aktionen' angegeben ist.

3. Wiederholen Sie die Schritte 2 bis 2.c für die Zielinstanz.

   1. Erstellen Sie einen Berechtigungsnachweis mit dem Namen replicator-target mit der Rolle 'Manager'.

   2. Notieren Sie sich den IAM-API-Schlüssel, der unter 'Berechtigungsnachweise anzeigen' in der Spalte 'Aktionen' angegeben ist.

4. Wählen Sie die Quelleninstanz aus und klicken Sie auf Serviceberechtigungsnachweise und Neuer Berechtigungsnachweis.

   1. Benennen Sie den neuen Berechtigungsnachweis apiaccess und wählen Sie die Rolle 'Manager' aus.

   2. Notieren Sie sich den tatsächlichen IAM-API-Schlüssel, der unter 'Berechtigungsnachweise anzeigen' in der Spalte 'Aktionen' angegeben ist.

5. Notieren Sie die URLs der Quellen- und Zielinstanz.

Je nach Ihrem Arbeitsablauf können Sie anstelle der Erstellung von Anmeldedaten auf Service-Ebene (Schritt 4) einen persönlichen IAM-API-Schlüssel verwenden, wie unter „API-Schlüssel erstellen“ beschrieben.

Sie können diese Schritte auch über die Befehlszeile ausführen, indem Sie die CLI-Toolkette „ IBM Cloud “ verwenden.

Trägertoken für die Authentifizierung bei der IBM Cloudant-API generieren

In Schritt 4.bhaben Sie den Schlüssel apiaccess notiert. Verwenden Sie diesen Schlüssel jetzt:

curl -k -X POST \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --header "Accept: application/json" \
  --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
  --data-urlencode "apikey=aSCsx4...2lN97h_2Ts" \
  "https://iam.cloud.ibm.com/identity/token"

Der Schlüssel apiaccess gibt die folgenden Informationen zurück (verkürzt):

{
   "access_token": "eyJraWQiOiIyMDE5MD...tIwkCO9A",
   "refresh_token": "ReVbNrHo3UA38...mq67g",
   "token_type": "Bearer",
   "expires_in": 3600,
   "expiration": 1566313064,
   "scope": "ibm openid"
}

Erstellen Sie eine Umgebungsvariable, um sich Eingabe zu ersparen, indem Sie den Wert unter dem Schlüssel access_token in den Antwortdaten verwenden:

export TOK="Bearer eyJraWQiOiIyMDE5MD...tIwkCO9A"

Datenbank _replicator auf der Quellenseite erstellen

'URL' ist die Quelleninstanz-URL, die Sie zuvor in Schritt 4.b notiert haben.

curl -k -X PUT \
     -H"Content-type: application/json" \
     -H'Authorization: '"$TOK"'' \
     'https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/_replicator'

Beispielergebnis:

{"ok": "true"}

Replikationsjob erstellen

Erstellen Sie eine Datei mit dem Namen data.json, die die folgenden Informationen enthält. Die beiden Schlüssel sind der Quellen- und der Ziel-API-Schlüssel, die zu Anfang erstellt wurden, sowie die Quellen- und die Zielinstanz-URL mit hinzugefügten Datenbanknamen.

{
  "source": {
    "url": "https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/source",
    "auth": {
      "iam": {
        "api_key": "xju1...TxuS"
      }
    }
  },
  "target": {
    "url": "https://dbc68dd8-f69f-4083-97dd-bf0a3e1a467a-bluemix.cloudant.com/target",
    "auth": {
      "iam": {
        "api_key": "UElc7...QIaL01Bjn"
      }
    }
  },
  "create_target": true,
  "continuous": true
}

Schreiben Sie jetzt ein Replikationsdokument mit dem Namen source_dest in die Datenbank _replicator der Quelleninstanz.

curl -k -X PUT \
     -H"Content-type: application/json" \
     -H'Authorization: '"$TOK"'' \
     'https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/_replicator/source_dest' -d@data.json

Beispielergebnis:

{"ok":true,"id":"source_dest","rev":"1-89b01e42968acd5944ed657b87c49f0c"}

Erforderliche Clientbibliotheksversionen

IAM-Konnektivität ist im neuesten Release aller unterstützten Clientbibliotheken verfügbar. Weitere Informationen finden Sie unter Clientbibliotheken.

Zugriff über HTTP-Client durchführen

Bei IBM Cloud IAM muss ein IAM-API-Schlüssel gegen ein Zugriffstoken mit zeitlich begrenzter Gültigkeit ausgetauscht werden, bevor eine Anforderung an eine Ressource oder einen Service abgesetzt werden kann. Das Zugriffstoken wird daraufhin in den HTTP-Header für die Berechtigung (Authorization) des Service eingebunden. Läuft die Gültigkeit des Zugriffstokens ab, dann muss der Kunde über den IAM-Token-Service ein neues Token anfordern.

Wie bereits erwähnt, müssen Sie, wenn Sie IBM Cloud IAM verwenden, zuerst einen IBM API-Schlüssel gegen ein Zugriffstoken mit zeitlich begrenzter Gültigkeit austauschen. Danach verwenden Sie das Token, um sich gegenüber der IBM Cloudant-API zu authentifizieren.

Im Folgenden ist ein Python-Beispiel aufgeführt:

import time
import requests
API_KEY = "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz"
ACCOUNT = "76838001-b883-444d-90d0-46f89e942a15-bluemix"
def get_access_token(api_key):
    """Retrieve an access token from the IAM token service."""
    token_response = requests.post(
        "https://iam.cloud.ibm.com/identity/token",
        data={
            "grant_type": "urn:ibm:params:oauth:grant-type:apikey",
            "response_type": "cloud_iam",
            "apikey": api_key
        },
        headers={
            "Accept": "application/json"
        }
    )
    if token_response.status_code == 200:
        print "Got access token from IAM"
        return token_response.json()['access_token']
    else:
        print token_response.status_code, token_response.json()
        return None
def main(api_key, account):
    access_token = None
    while True:
        if not access_token:
            access_token = get_access_token(api_key)
        if access_token:
            response = requests.get(
                "https://{0}.cloudant.com/_all_dbs".format(account),
                headers={
                    "Accept": "application/json",
                    "Authorization": "Bearer {0}".format(access_token)
                }
            )
            print "Got Cloudant response, status code", response.status_code
            if response.status_code == 401:
                print "Token has expired."
                access_token = None
        time.sleep(1)
if __name__ == "__main__":
    main(API_KEY, ACCOUNT)

Netzzone erstellen

Um IBM Cloudant zu Ihrer IAM-Zugriffslistehinzuzufügen, müssen Sie zuerst eine Netzzone erstellen, die den Service IBM Cloudant enthält.

Führen Sie zum Erstellen einer Netzzone die folgenden Schritte aus.

1. Klicken Sie in der „ IBM Cloud “-Konsole auf „Verwalten“ > „Kontextbasierte Einschränkungen“ und wählen Sie „Netzwerkzonen“ aus.
2. Klicken Sie auf Erstellen.
3. Geben Sie einen eindeutigen Namen (z. B. cloudant-network) und optional eine Beschreibung ein.
4. Wählen Sie unter Reference a service den Servicetyp IAM Services und den Service IBM Cloudant aus. Klicken Sie auf Hinzufügen, um die IBM Cloudant-IP-Adressen Ihrer Netzzone zuzuordnen.
5. Klicken Sie auf Weiter, um Ihre Netzzone zu überprüfen.
6. Klicken Sie auf Erstellen.

Verweis auf die Netzzone in der IAM-IP-Zulassungsliste

Die oben erstellte Netzzone mit dem Namen cloudant-network kann jetzt in Ihrer IAM IP-Zulassungslisteverwendet werden.

1. Klicken Sie in der „ IBM Cloud “-Konsole auf „Verwalten“ > „Zugriff“ (IAM) und wählen Sie „Einstellungen“ aus.
2. Aktivieren Sie im Bereich „Konto“ die Einstellung für den Zugriff über IP-Adresse.
3. Fügen Sie im Feld Allowed IP addresses den Namen der zuvor erstellten Netzzone hinzu (z. B. cloudant-network).
4. Klicken Sie auf Speichern.

IBM Cloudant-Rollen

In der folgenden Tabelle sind die verfügbaren IAM-Servicerollen für IBM Cloudant und eine kurze Beschreibung der einzelnen Rollen aufgeführt.

Die Rolle 'Manager' umfasst alle Aktionen der Rollen 'Leseberechtigter' und 'Schreibberechtigte' und 'Schreibberechtigter' alle Aktionen von 'Leseberechtigter enthält.

IBM Cloudant-Aktionen

In der folgenden Tabelle werden die verfügbaren IAM-Aktionen und -Rollen beschrieben. Für eine differenzierte Autorisierung können Sie die Rollen Manager, Reader, Writer, Monitor oder Checkpointer verwenden.

Wenn Sie IAM-Rollen verwenden, bei denen es sich nicht um die Rolle Manager handelt, also z. B. die Rollen Reader, Writer, Monitor oder Checkpointer, müssen Sie Nur IAM verwenden verwenden, um zu vermeiden, dass Benutzer traditionelle Berechtigungsnachweise mit umfassenderen Zugriffsberechtigungen erhalten.

IAM-Fähigkeit Ihres Kontos sicherstellen

Im Abschnitt 'Übersicht' des IBM Cloudant-Dashboards ist die Authentifizierungsmethode unter den Bereitstellungsdetails aufgeführt. Ihre verfügbaren Authentifizierungsmethoden sind dort aufgelistet.